1/8 Advies nr. 89/2019 van 3 april 2019 Betreft: advies over voorontwerp van koninklijk besluit ter uitvoering van de artikelen 5, 19 /1, 264,266,268 en 273 van de wet van 4 april 2014 betreffende de verzekeringen (CO-A-2019-071) De Gegevensbeschermingsautoriteit (hierna de Autoriteit ); Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, inzonderheid op artikel 23 en 26 (hierna WOG ); Gelet op de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (hierna AVG ); Gelet op de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (hierna WVG ); Gelet op het verzoek om advies van de heer K. Peeters, Minister van Werk, Economie en Consumenten, belast met Buitenlandse Handel, Armoedebestrijding, Gelijke Kansen en Personen met een beperking, ontvangen op 19 februari 2019; Gelet op het verslag van Willem Debeuckelaere; Brengt op 3 april 2019 het volgend advies uit:
Advies 89/2019-2/8 I. VOORWERP VAN DE ADVIESAANVRAAG 1. Minister van Werk, Economie en Consumenten, belast met Buitenlandse Handel, Armoedebestrijding, Gelijke Kansen en Personen met een beperking, ( hierna de aanvrager ) verzoekt om het advies van de Autoriteit aangaande het voorontwerp van koninklijk besluit tot uitvoering van de artikelen 5, 19 /1, 264, 266, 268 en 273 van de wet van 4 april 2014 betreffende de verzekeringen (hierna het voorontwerp). Context 2. Het voorontwerp voorziet in een (gedeeltelijke) omzetting van de Richtlijn (EU) 2016/97 van het Europees Parlement en de Raad van 20 januari 2016 betreffende de verzekeringsdistributie de zogenaamde ( IDD-richtlijn ) 1 naar het Belgisch recht. 3. De Richtlijn regelt het statuut van de verzekerings- en her-verzekeringstussenpersonen en legt aan de verzekerings- en herverzekeringsondernemingen vereisten op met betrekking tot kennis, vakbekwaamheid en betrouwbaarheid van de medewerkers die rechtstreeks betrokken zijn bij de distributiewerkzaamheden. Voorts bevat de Richtlijn informatie en gedragsregels welke van toepassing zijn op alle verzekeringsdistributeurs (verzekeringsondernemingen en verzekeringstussenpersonen). Zowel verzekeringsondernemingen van natuurlijke personen als ook verzekeringsondernemingen die als rechtspersoon zijn opgericht vallen onder deze richtlijn. Beoogd wordt om te komen tot harmonisatie van nationale voorschriften inzake verzekerings- en de herverzekeringsdistributie en bescherming te bieden aan de consument. 4. Thans zijn bepaalde gedragsregels, waaronder de gedragsregels die voortvloeien uit de omzetting van de IMD-richtlijn 2, welke de voorganger van de IDD-richtlijn is, in het Belgisch recht vervat in de wet van 4 april 2014 betreffende de verzekeringen en twee koninklijke besluiten. De wetgever heeft er met het oog op coherentie van wetgeving voor gekozen om alle gedragsregels en informatieverplichtingen op te nemen in de wet van 4 april 2014. 3 Middels de Wet tot omzetting Richtlijn (EU) 2016 / 96 van 8 december 2018 4, 1 Richtlijn (EU) 2016/97 van 20 januari 2016 betreffende verzekeringsdistributie 2 Richtlijn 2002/92/ EG van het Europees Parlement en de Raad van 9 december 2002 betreffende verzekeringsbemiddeling 3 Pagina 5 Memorie van Toelichting bij Wetsontwerp Omzetting Richtlijn 2016/96 van het Europees Parlement 4 Wet tot omzetting van Richtlijn (EU) 2016/97 van het Europees Parlement en de Raad van 20 januari 2016 betreffende verzekeringsdistributie
Advies 89/2019-3/8 zijn de bepalingen van de IDD-richtlijn geïmplementeerd in de wet betreffende verzekeringen van 4 april 2014. 5 5. De Autoriteit bracht op 4 juli 2018 reeds advies uit over het ontwerp van de wet tot omzetting van Richtlijn (EU) 2016 / 97. 6 6. Artikel 3 van het Voorontwerp van Koninklijk besluit bevat aanwijzingen over de wijze van indiening van de aanvraag voor inschrijving als verzekerings-, nevenverzekerings- of herverzekeringstussenpersoon in het register. In dit artikel is bepaald dat de aanvraag voor inschrijving tezamen met een volledig dossier langs elektronische weg ingediend moet worden bij de Autoriteit voor Financiële Diensten en Markten ( hierna FSMA ), en volgens de modaliteiten die de FSMA op haar website heeft bekendgemaakt. Dit artikel maakt het mogelijk om een andere persoon te machtigen de aanvraag namens hem te mogen doen. 7. In artikel 5 van het voorontwerp wordt een opsomming gegeven van de documenten die door de kandidaat-tussenpersoon die een natuurlijke persoon is, gevoegd moeten worden bij de aanvraag tot inschrijving in het register van de verzekeringsnevenverzekerings- of herverzekering tussenpersonen. Ook de overige gegevens die verstrekt moeten worden voor een rechtsgeldige inschrijving tot het register zijn in dit artikel opgenomen. In het artikel staat nadrukkelijk dat de FSMA behalve de opgesomde documenten / gegevens, steeds om bijkomende inlichtingen mag vragen die zij nodig acht ter beoordeling van de inschrijving. 8. Artikel 6 van het voorontwerp gaat over de rechtspersoon die ingeschreven wenst te worden als kandidaat-tussenpersoon. Dit artikel bevat eveneens een opsomming van de nodige documenten en gegevens om ingeschreven te kunnen worden in het register. Onder hetzelfde voorbehoud dat indien nodig bijkomende inlichtingen opgevraagd kunnen worden. 9. Artikel 7 van het voorontwerp heeft enkel betrekking op de verzekerings- en herverzekeringsondernemingen. In het artikel is bepaald dat deze ondernemingen de identificatiegegevens dienen te overleggen, van de verantwoordelijke voor distributie, en de verantwoordelijke die toeziet dat de beleidsmaatregelen juist worden nagekomen binnen de onderneming. 5 Wet betreffende de verzekeringen van 4 april 2014 6 Advies Gegevensbeschermingsautoriteit nr. 56 / 2018, 4 juli 2018
Advies 89/2019-4/8 II. ONDERZOEK VAN DE ADVIESAANVRAAG 10. Elke verwerking van persoonsgegevens moet steunen op een rechtsgrondslag in de zin van artikel 6 AVG. Gelet op de reglementaire omkadering van de voorgeschreven verwerking van (persoons)gegevens in artikelen 3, 5, 6 en 7 van het voorontwerp, kan deze mogelijk een rechtsgrond vinden in artikel 6.1. e) van de AVG. 11. De Autoriteit onderlijnt hierbij het belang van artikel 6.3 AVG dat -in samenlezing met artikel 8 EVRM en artikel 22 van de Grondwet voorschrijft dat regelgeving die verwerkingen in de zin van artikel 6.1. punt e) AVG omkadert, in principe minstens de volgende essentiële elementen van die verwerking zou moet vermelden: - het doel van de verwerking; 7 - de types of categorieën van te verwerken persoonsgegevens, Deze gegevens moeten bovendien beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt ( minimale gegevensverwerking ) 8 ; - de betrokkenen; - de entiteiten waaraan en doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; - de opslagperioden; 9 ; - evenals de aanduiding van de verwerkingsverantwoordelijke. 1. Doelbinding 12. Volgens artikel 5.1.b) AVG is de verwerking van persoonsgegevens enkel toegestaan voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. 13. In artikel 3 van het voorontwerp is bepaald dat de inschrijving als kandidaat tussenpersoon bij de FSMA langs elektronische weg dient te gebeuren. Daarbij dient ook het dossier op dezelfde wijze te worden ingediend conform de modaliteiten die door FSMA op haar website zijn bekendgemaakt. In artikel 5, 6 en 7 staat welke documenten dienen te worden overgelegd om ingeschreven te kunnen worden. In de memorie van toelichting bij de wet omzetting richtlijn 2016/97 wordt als volgt overwogen 10 : 7 Zie artikel 5.1.b) AVG 8 Zie artikel 5.1.c) AV. 9 Zie ook artikel 5.1.e) AVG 10 Memorie van toelichting bij wetsontwerp tot omzetting van richtlijn EU 2016/97, p.28
Advies 89/2019-5/8 Voor de FSMA is het noodzakelijk om de gegevens in het inschrijvingsdossier te verwerken, met name om de toezichtsopdracht uit te oefenen die haar bij wet is opgedragen (zie in dit verband artikel 6, 1, e), van Verordening 2016/679). De persoonsgegevens die zijn opgenomen in dit dossier, worden door de FSMA verwerkt conform Verordening 2016/679. 14. Derhalve is het doel om de FSMA als toezichthoudende autoriteit voldoende gegevens te verschaffen om de voornaamste doelen van de richtlijn dus bescherming van de consument en harmonisatie van de regelgeving te kunnen nakomen aan de hand van de verkregen gegevens van de kandidaat-tussenpersoon. De Autoriteit acht dit doel welbepaald en voldoende omschreven zoals bepaald in artikel 5.1).b. 15. Zoals hierboven reeds aangegeven, wijst de Autoriteit erop dat het doel van de verwerkingen in de wettelijke regeling zelf dient te worden opgenomen en niet louter in de memorie van toelichting wordt omschreven. 2. Proportionaliteit van de verwerking 16. Artikel 5.1.c), AVG bepaalt dat persoonsgegevens toereikend, terzake dienend en beperkt moeten zijn tot wat noodzakelijk is voor de beoogde doeleinden ('minimale gegevensverwerking'). 17. Nadat de kandidaat- tussenpersonen zich als zodanig digitaal inschrijven in het register van de verzekerings- en nevenverzekeringstussenpersoon of herverzekeringstussenpersoon via de website van de FSMA, conform artikel 3 van het voorontwerp wordt (een deel van ) de gegevens publiekelijk gemaakt op haar website. Artikel 268 2 van de Wet omzetting richtlijn 2016/97 bepaalt hieromtrent als volgt : De website vermeldt, voor iedere verzekerings- en nevenverzekeringstussenpersoon en voor iedere herverzekeringstussenpersoon, de gegevens noodzakelijk voor zijn identificatie, de datum van inschrijving, de categorie waarin hij is ingeschreven, de namen van de personen belast met de effectieve leiding die de facto de verantwoordelijkheid hebben over de betrokken distributiewerkzaamheden, desgevallend de datum van schrapping, evenals alle andere informatie die de FSMA nuttig acht voor een correcte informatieverstrekking aan het publiek.
Advies 89/2019-6/8 18. In dit artikel worden onder andere de datum van inschrijving, de categorie waarin is ingeschreven en de namen van de personen met effectieve leiding of verantwoordelijkheid genoemd als gegevens die op de website bekend gemaakt zullen worden. Verder kunnen er nog gegevens worden opgevraagd die nuttig worden geacht. 19. De Autoriteit benadrukt nog eens dat dergelijke open clausules zoals in dit geval de mogelijkheid om alles wat nuttig wordt geacht te kunnen opvragen, aanleiding kunnen geven tot disproportionele gegevensverwerkingen. De types gegevens voor publicatie zullen derhalve volledig omschreven moeten worden. 20. Wat betreft de verplichting voor de natuurlijke persoon om het rijksregisternummer kenbaar te maken, wijst de Autoriteit op artikel 5 van de Wet tot regeling van een Rijksregister van de natuurlijke persoon. 11 Daarin is bepaald dat de openbare overheden een machtiging kunnen vragen aan de minister van Binnenlandse Zaken om toegang te verkrijgen tot of mededeling te krijgen van (bepaalde) gegevens uit het rijksregister. Op die manier zullen de gegevens bij de authentieke bron worden verkregen. 3. Gegevens betreffende strafrechtelijke veroordelingen 21. Artikel 5 van het voorontwerp behelst een opsomming van de verplichte gegevens die bij de aanvraag moeten worden gevoegd door een natuurlijke persoon. In artikel 5 lid 1, 2 is neergelegd dat een uittreksel uit het strafregister bestemd voor gereglementeerde activiteiten dat niet ouder dan drie maanden, noodzakelijk is. Artikel 6 lid 1, 3 bevat een gelijkluidende bepaling voor de rechtspersoon. 22. Artikel 10 van AVG luidt : Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1 alleen worden verwerkt onder toezicht van de overheid of als de verwerking is toegestaan bij Unierechtelijke of Lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid. 23. De wettelijke bepaling waaruit de verplichting voortvloeit tot het overleggen van een uittreksel uit het strafregister is artikel 10 lid 3 van de IDD- Richtlijn welke stelt : 11 Wet tot regeling van een Rijksregister van de natuurlijke personen van 8 augustus 1983, laatstelijk gewijzigd op 31 december 2018
Advies 89/2019-7/8 Natuurlijke personen die werkzaam zijn in een verzekerings- of herverzekeringsonderneming, of verzekerings- of herverzekeringstussenpersoon, die het verzekerings- of herverzekeringsdistributiebedrijf uitoefenen, zijn betrouwbaar. Zij hebben ten minste een blanco strafblad of enig ander nationaal equivalent met betrekking tot ernstige strafbare feiten in verband met vermogensdelicten of andere met financiële activiteiten verband houdende delicten en zij mogen niet voorheen failliet zijn verklaard, tenzij rehabilitatie overeenkomstig het nationale recht heeft plaatsgevonden. 24. Bovengenoemde verplichting is in de Wet omzetting richtlijn 2016/97 opgenomen in artikel 266. 2. In het eerdere advies van 4 juli 2018 gaf de Autoriteit te kennen een meer precieze omschrijving te wensen waaruit de noodzaak van een uittreksel uit het strafregister zou blijken. 12 De regering reageert hierop in de memorie van toelichting en wijst nogmaals op de verplichting die rechtstreeks voortvloeit uit de richtlijn. Tevens wordt daarbij gewezen op een verslag van de parlementaire onderzoekscommissie, in welke het belang van de vereisten inzake betrouwbaarheid en afwezigheid van een veroordeling nog eens duidelijk wordt gemaakt. 13 25. De Autoriteit is thans van oordeel dat het in artikel 5 lid 1, 2 en 6 lid 1, 3 bepaalde, beperkt is tot het doel waarvoor het noodzakelijk is. Het uittreksel uit het strafregister dient er immers een te zijn voor gereglementeerde activiteiten. In dit geval zal het er een zijn die specifiek gaat over de beroepsgroep voor verzekeringen en niet een basismodel uit het strafregister die andere irrelevante gegevens zou kunnen bevatten. 4. Bewaartermijn van de gegevens 26. Krachtens artikel 5.1.e) AVG mogen persoonsgegevens niet langer worden bewaard, in een vorm die het mogelijk maakt de betrokkenen te identificeren, dan noodzakelijk voor de verwezenlijking van de doeleinden waarvoor zij worden verwerkt. 27. De Autoriteit neemt akte van artikel 290. 1. Van de Wet tot omzetting van Richtlijn (EU) 2016/97 van het Europees Parlement en de Raad van 20 januari 2016 betreffende verzekeringsdistributie het volgende heeft bepaald ten aanzien van bewaartermijnen: De gegevens worden, opdat de FSMA haar toezichtsopdracht zou kunnen uitoefenen, bewaard gedurende een termijn van vijf jaar en, indien de FSMA daarom verzoekt, 12 Advies Gegevensbeschermingsautoriteit 56/2018 d.d. 4 juli 2018 13 Memorie van toelichting bij wetsontwerp tot omzetting van richtlijn EU 2016/97, p. 16
Advies 89/2019-8/8 gedurende een termijn van zeven jaar, onverminderd de mogelijkheid voor de verzekeringsdistributeur om, met inachtneming van Verordening 2016/679, ze langer te bewaren voor de uitvoering van de overeenkomst en het beheer van ermee gepaard gaande geschillen. 5. Verantwoordelijkheid 28. In het eerdere ontwerp werd geen verwerkingsverantwoordelijke aangewezen. Thans is in artikel 268. 3. van de Wet Omzetting richtlijn, de FSMA uitdrukkelijk als verwerkingsverantwoordelijke aangewezen. OM DEZE REDENEN verzoekt de Autoriteit de aanvrager om rekening te houden met de opmerkingen en aanbevelingen die hoger worden geformuleerd, en die als volgt kunnen worden samengevat: - Een volledige opsomming op te nemen in het voorontwerp van de categorieën gegevens die voor publicatie bestemd zijn, teneinde disproportionele verwerkingen te voorkomen (zie hierover randnummer 19); - Het rijksregisternummer bij de authentieke bron op te vragen, middels een bij de Minister van Binnenlandse zaken verkregen machtiging (zie randnummer 20); - Zich ervan te vergewissen dat enkel de (strafrechtelijke) gegevens die noodzakelijk zijn om het doel van het voorontwerp na te komen zullen worden verwerkt ( zie o.a. randnummer 25) (get.) An Machtens Wnd. Administrateur (get.) Willem Debeuckelaere Voorzitter, Directeur Kenniscentrum